Red Hat Network Satellite 5.4 Gu a de configuraci n de cliente

Transcripción

1 Red Hat Network Satellite 5.4 Gu a de configuraci n de cliente Red Hat Network Satellite Edición 2 Red Hat Documentation Team

2 Red Hat Network Satellite 5.4 Gu a de configuraci n de cliente Red Hat Network Satellite Edición 2 Red Hat Documentation Team

3 Legal Notice Copyright 2010 Red Hat, Inc. T his document is licensed by Red Hat under the Creative Commons Attribution-ShareAlike 3.0 Unported License. If you distribute this document, or a modified version of it, you must provide attribution to Red Hat, Inc. and provide a link to the original. If the document is modified, all Red Hat trademarks must be removed. Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law. Red Hat, Red Hat Enterprise Linux, the Shadowman logo, JBoss, MetaMatrix, Fedora, the Infinity Logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries. Linux is the registered trademark of Linus Torvalds in the United States and other countries. Java is a registered trademark of Oracle and/or its affiliates. XFS is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries. MySQL is a registered trademark of MySQL AB in the United States, the European Union and other countries. Node.js is an official trademark of Joyent. Red Hat Software Collections is not formally related to or endorsed by the official Joyent Node.js open source or commercial project. T he OpenStack Word Mark and OpenStack Logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community. All other trademarks are the property of their respective owners. Abstract Bienvenido a la Guía de configuración de cliente de Red Hat Network Satellite.

4 Table of Contents Table of Contents. Capítulo Introducción Capítulo Aplicaciones de... cliente Implementación de los últimos RPM clientes de Red Hat Network Configuración de las aplicaciones cliente Registrar clientes al servidor satélite de RHN Registro con las llaves de activación Opción up2date --configure Actualización manual de los archivos de configuración Implementación del servidor alternativo Programa actualizador de paquetes Configuración de la Red Hat Network Alert Notification T ool con Satélite. 9. Capítulo Infraestructura del.... SSL Una breve introducción al SSL Uso de RHN SSL Maintenance Tool Explicación de la generación de SSL Opciones de RHN SSL Maintenance T ool Generación del par de llaves CA SSL Generación del juego de llaves SSL del servidor web Implementación del certificado público CA SSL a los clientes Configuración de los sistemas cliente 20. Capítulo Importación de... las.... llaves GPG personalizadas Capítulo Uso..... de... RHN..... Bootstrap Preparación Generación Uso del script Opciones de RHN Bootstrap 24. Capítulo Creación manual del.... script de... configuración Capítulo Implementación de... Kickstart Script de... ejemplo Bootstrap Historial de... revisiones Índice Símbolos 38 A 38 B 38 C 38 K 39 L 39 R 39 S 40 1

5 2 Red Hat Network Satellite 5.4 Guía de configuración de cliente

6 Capítulo 1. Introducción Capítulo 1. Introducción Este manual tiene la intención de asistir de una forma sencilla a los usuarios del RHN Satellite Server y del RHN Proxy Server en la configuración de sus sistemas clientes. Por defecto, todas las aplicaciones cliente de Red Hat Network están configuradas para comunicarse con los servidores centrales de Red Hat Network. Algunos de los parámetros de los sistemas cliente deben ser alterados cuando se conectan con el servidor satélite de RHN o el servidor proxy de RHN. Es sencillo modificar uno o dos sistemas; pero un entorno empresarial grande puede contener cientos o miles de sistemas que podrían beneficiarse de los pasos de reconfiguración en masa descritos en este manual. Debido a la complejidad de esta tarea, los usuarios pueden utilizar un script existente que automatice muchas de las tareas necesarias para acceder a sus servidores Satellite o Proxy. Consulte el Capítulo 5, Uso de RHN Bootstrap para obtener mayor información. Red Hat cree que entender las implicaciones de estos cambios es útil y por lo tanto, describe los pasos de reconfiguración manual en los primeros capítulos. T enga en cuenta las necesidades de su organización para determinar la solución ideal. Aunque muchos de los comandos proporcionados dentro de esta guía pueden ser aplicados tal y como aparecen, es imposible predecir todas las posibilidades de configuraciones de red adoptados por los usuarios. Por lo tanto, Red Hat recomienda usar estos comandos como referencias que deben ser tenidas en cuenta en la configuración individual de su empresa. Nota La información de la configuración de los clientes Unix puede encontrarse en la Guía de referencia del RHN Satellite Server en el capítulo Soporte para Unix. 3

7 Red Hat Network Satellite 5.4 Guía de configuración de cliente Capítulo 2. Aplicaciones de cliente Para poder utilizar la mayoría de las funciones de clase empresarial de Red Hat Network, tales como el registro de sistemas con el satélite de RHN, se requiere la configuración de las aplicaciones cliente más recientes. El obtener estas aplicaciones antes de que el cliente se haya registrado con Red Hat Network puede ser difícil. Esta paradoja es especialmente problemática para usuarios que migran un número amplio de antiguos sistemas a Red Hat Network. Este capítulo identifica varias técnicas para resolver este problema. Importante Red Hat recomienda que los clientes conectados al Servidor proxy o al servidor satélite de RHN estén ejecutando la actualización más reciente de Red Hat Enterprise Linux para asegurar una apropiada conectividad. Adicionalmente, si el cortafuegos del cliente está configurado, los puertos 80 y 443 deben estar abiertos para permitir una apropiada funcionalidad con Red Hat Network Implementación de los últimos RPM clientes de Red Hat Network El Actualizador de paquete (pup), yum, y Red Hat Network Registration Client (rhn_register) en Red Hat Enterprise Linux 5 (up2date en versiones anteriores a Red Hat Enterprise Linux) son prerrequisitos para utilizar muchas de las funciones empresariales de Red Hat Network. Es importante instalarlos en sistemas de cliente antes de intentar utilizar el servidor proxy o satélite de RHN en su entorno. Hay varios métodos para abordar la actualización del software cliente RHN. Uno de ellos tiene que ver con el almacenamiento de los RPM en un lugar accesible a todos los sistemas cliente y la implementación de paquetes con el comando más sencillo. En casi todos los casos, la implementación manual de yum, pup, y rhn_register (up2date si existe una versión anterior a Red Hat Enterprise Linux) no es necesaria. Dichas herramientas de cliente no deben tener ningún problema para conectarse al satélite de RHN o su entorno Proxy. La discusión a continuación asume que yum "out of box", pup, y rhn_register (o up2date) no son las últimas y no funcionan para su entorno. Recuerde, únicamente los sistemas que están ejecutando Red Hat Enterprise Linux 5 deben estar registrados con RHN en firstboot después de la instalación o utilizar rhn_register. Los sistemas en ejecutando Red Hat Enterprise Linux 3 y 4 pueden utilizar la función de registro dentro de Red Hat Update Agent. Este documento presupone que el usuario ha instalado al menos un RHN Satellite Server y/o un RHN Proxy Server en su red. El siguiente ejemplo demuestra una manera sencilla de implementar por primera vez yum, pup, y rhn_register (o up2date) por un administrador asumiendo que las máquinas no tienen aún el RHN funcionando. El administrador ha poblado el directorio /var/www/htm l/pub/ con una copia de los RPM yum, pup, y rhn_register (o up2date) que los sistemas de cliente necesitan y luego simplemente ha implementado los RPM en los sistemas de cliente con un comando simple rpm -Uvh. Ejecutado desde un cliente, este comando instala los RPM para ese cliente, asumiendo que el nombre de dominio, rutas, y versiones de RPM son correctas (observe que este comando se ha dividido en varias líneas para propósitos de impresión y PDF, pero se debe escribir como una línea en el shell de intérprete de comandos): 4

8 Capítulo 2. Aplicaciones de cliente rpm -Uvh Observe que la arquitectura (en este caso, i386) puede necesitar algunas alteraciones dependiendo del los sistemas que va a servir Configuración de las aplicaciones cliente No todos los usuarios deben estar conectados de forma segura a su Servidor satélite o proxy de RHN dentro de su organización. No todos los clientes necesitan construir e implementar una llave GPG para los paquetes personalizados. (Estos dos temas se explicarán con más detalle posteriormente). Cada usuario que utilice el servidor satélite de RHN o el RHN Proxy Server debe reconfigurar el Red Hat Update Agent (up2date) y posiblemente el Red Hat Network Registration Client (rhn_register) para redirigirlo desde Red Hat Network a su Servidor satélite o proxy. Importante Aunque no sea configurable, observe que el puerto usado por up2date es 80 para HTTP y 443 para HTTP (HTTPS) segura. Por defecto, yum en Red Hat Enterprise Linux 5 usa SSL únicamente. Por esta razón, los usuarios deben asegurarse de que sus cortafuegos permitan conexiones al puerto 443. Para desviar u omitir SSL, cambie el protocolo para serverurl desde https a http en /etc/sysconfig/rhn/up2date. Igualmente, para utilizar la función Monitoring de RHN y sondeos que requieren Red Hat Network Monitoring Daemon, observe que los sistemas de cliente deben permitir conexiones en puerto 4545 (o puerto 22, si se utiliza sshd en su lugar). Por defecto, el rhn_register y up2date se refieren a los servidores Red Hat Network principales. Los usuarios deben reconfigurar los sistemas de cliente para referirser a sus servidores satélite o proxy. Observe que las últimas versiones del Red Hat Update Agent pueden ser configuradas para acomodar varios servidores RHN, para así proporcionar protección contra fallos en caso de que el servidor primario no se pueda acceder. Consulte la Sección 2.2.5, Implementación del servidor alternativo para obtener instrucciones sobre cómo activar esta función. Las secciones siguientes describen los diferentes métodos para configurar los sistemas de cliente para acceder al servidor satélite o proxy de RHN.Para ver cómo poner virtualmente en script, consulte el Capítulo 6, Creación manual del script de configuración Registrar clientes al servidor satélite de RHN Para registrar un sistema al Servidor satélite de RHN se necesita su nombre de dominio totalmente calificado (FQDN) y el certificado SSL del Servidor satélite de RHN. 1. Descargar el certificado SSL para el cliente: cd /usr/share/rhn/ wget 2. Edite el archivo /etc/sysconfig/rhn/up2date: 5

9 Red Hat Network Satellite 5.4 Guía de configuración de cliente serverurl= nosslserverurl= sslcacert=/usr/share/rhn/rhn-org-trusted-ssl-cert 3. Registrar la máquina: rhn_register Registro con las llaves de activación Red Hat recomienda el uso de llaves de activación para registrar y configurar los sistemas cliente que se conectan con un Servidor de proxy o satélite de RHN. Las llaves de activación sirven para registrar, autorizar, y suscribir sistemas por lotes. Para mayor información, consulte la sección sobre "llaves de activación" en la Guía de referencia del Servidor satélite de RHN. El proceso de registro con llaves de activación tiene cuatro pasos básicos: 1. Generar una llave de activación. 2. Importar llaves GPG personales 3. Descargar e instalar el RPM del certificado SSL del directorio /pub/ del servidor satélite o servidor proxy de RHN. El comando para este paso es similar a: rpm -Uvh 4. Registrar el sistema con el servidor satélite o proxy de RHN. El comando para este paso es similar a: rhnreg_ks --activationkey mykey --serverurl FQDN/XMLRPC Alternativamente, la mayoría de los pasos anteriores pueden combinarse en un script de shell que incluya las siguientes líneas (observe que este comando ha sido dividido en varias líneas para propósitos de impresión y PDF, pero debe escribirse en una sola línea en el shell de intérprete de comandos). wget bash && rhnreg_ks --activation-key my_key --serverurl El script bootstrap, generado al momento de la instalación y disponible tanto para RHN Satellite Server como para RHN Proxy Server es el script mencionado. La discusión sobre el script y RHN Bootstrap que lo genera se aborda en detalle en el Capítulo 5, Uso de RHN Bootstrap. Advertencia Los sistemas que están ejecutando Red Hat Enterprise Linux 2.1 y versiones de Red Hat Linux anteriores a la 8.0 pueden experimentar problemas al usar las llaves de activación para migrar la configuración del certificado SSL de rhn_register a up2date. Por lo cual, la información del certificado SSL en esos sistemas debe ser establecida manualmente. T odas las otras transferencias de parámetros, como la URL del servidor, funcionan correctamente. 6

10 Capítulo 2. Aplicaciones de cliente Opción up2date --configure Red Hat Update Agent en Red Hat Enterprise Linux 3 y 4 proporciona una interfaz para establecer varias configuraciones. Para ver una lista completa de estas configuraciones, consulte la página de manual up2date (m an up2date en la línea de comandos). Para reconfigurar el Red Hat Update Agent, ejecute el siguiente comando como root: up2date --configure Se le presentará una caja de diálogo con varios parámetros que pueden ser reconfigurados. En la pestaña General, bajo Seleccionar servidor de Red Hat Network a utilizar remplace el valor por defecto con su nombre de dominio completamente calificado (FQDN) del Servidor satélite de RHN o el Servidor proxy de RHN, tal como ain.com/xmlrpc. Mantenga el /XMLRPC al final. Al finalizar, haga clic en OK. Figura 2.1. Configuración de la interfaz gráfica de usuario Red Hat Update Agent Asegúrese de haber ingresado el nombre de dominio correcto de su RHN Satellite Server o RHN Proxy Server. El ingreso incorrecto de un nombre de dominio o si se deja un espacio en blanco, evitará el lanzamiento de up2date --configure. Sin embargo, esto se puede solucionar si modifica el valor en el archivo de configuración up2date. Consulte la Sección 2.2.4, Actualización manual de los archivos de configuración para obtener instrucciones precisas. 7

11 Red Hat Network Satellite 5.4 Guía de configuración de cliente Advertencia Sistemas ejecutando Red Hat Enterprise Linux 3 o 4 tienen incorporada la función de registro Red Hat Update Agent y por lo tanto no se necesita instalar Red Hat Network Registration Client. Los sistemas ejecutando Red Hat Enterprise Linux 5 no usan up2date, y necesitan rhn_register para registrar sus sistemas a RHN o Satélite y yum y pup para actualizar sus paquetes Actualización manual de los archivos de configuración Como una alternativa a la interfaz GUI descrita en la sección anterior, los usuarios pueden también reconfigurar Red Hat Update Agent al editar los archivos de configuración de la aplicación. Para configurar el Red Hat Update Agent en los sistemas cliente que se conectan al servidor satélite o proxy de RHN, edite los valores de los parámetros serverurl y nosslserverurl en el archivo de configuración /etc/sysconfig/rhn/up2date. Remplace el valor predeterminado de la URL de Red Hat Network con el nombre de dominio completamente calificado (FQDN) del Servidor proxy de RHN o el servidor satélite de RHN. Por ejemplo: serverurl[comment]=remote server URL serverurl= nosslserverurl[comment]=remote server URL without SSL nosslserverurl= Advertencia El parámetro httpproxy en /etc/sysconfig/rhn/up2date no hace referencia al RHN Proxy Server. Sirve para configurar un proxy HTTP opcional para el cliente. Con un RHN Proxy Server en lugar, el parámetro httpproxy debe estar en blanco (no debe tener ningún valor establecido) Implementación del servidor alternativo Desde up2date , el Red Hat Update Agent puede ser configurado para buscar actualizaciones desde una serie de servidores RHN. Esto puede ser bastante útil para mantener el abastecimiento de actualizaciones en caso de que su servidor satélite o proxy de RHN primario estén desconectados. Para usar esta función, asegúrese de estar usando la versión requerida del up2date. Luego añada como root los servidores secundarios a los parámetros serverurl y nosslserverurl en el archivo de configuración /etc/sysconfig/rhn/up2date. Añada los nombres de dominio completamente calificado (FQDN) del Proxy o el satélite inmediatamente después del servidor primario, separados por puntos y comas (;). Por ejemplo: 8

12 Capítulo 2. Aplicaciones de cliente serverurl[comment]=remote server URL serverurl= nosslserverurl[comment]=remote server URL without SSL nosslserverurl= La conexión al servidor se intenta según el orden provisto aquí. Puede incluir tantos servidores como desee. Puede también incluir los servidores centrales de RHN. Esto solo funciona, si los sistemas clientes tienen acceso directo a la Internet Programa actualizador de paquetes Red Hat Enterprise Linux 5 ofrece un programa de ejecución en el panel gráfico de escritorio que periódicamente busca actualizaciones desde el servidor de RHN o Satélite y alerta a los usuarios cuando hay una nueva actualización disponible. Figura 2.2. Programa actualizador de paquetes La aplicación del programa actualizador de paquetes permanece en la bandeja de notificaciones del panel de escritorio y busca periódicamente nuevas actualizaciones. La aplicación también permite realizar tareas de mantenimiento de paquetes haciendo clic y eligiendo dentro de las siguientes acciones: Refresh Busca nuevas actualizaciones de RHN o Satélite View Updates lanza la aplicación de actualizador de paquetes para que se puedan ver detalladamente las actualizaciones disponibles y configurar las actualizaciones para sus especificaciones. Apply Updates Descarga e instala todos los paquetes actualizados. Quit cierra la aplicación 2.4. Configuración de la Red Hat Network Alert Notification Tool con Satélite. La Red Hat Network Alert Notification Tool, el icono circular en el panel de su escritorio Red Hat Enterprise Linux 3 o 4, puede configurarse en sistemas que ejecutan Red Hat Enterprise Linux 3 o posteriores para que reconozcan actualizaciones disponibles en los canales personalizados en su Servidor satélite de RHN. Debe asegurarse de que el Servidor satélite de RHN esté configurado para soportar esta función. (El servidor proxy de RHN soporta la aplicación sin modificación de cliente o servidor.) Los pasos para configurar la Red Hat Network Alert Notification T ool son los siguientes: 1. Asegúrese de que la versión de su RHN Satellite Server sea 3.4 o superior y de que el paquete 9

13 Red Hat Network Satellite 5.4 Guía de configuración de cliente rhns-applet esté instalado en el satélite. El paquete puede encontrarse en el canal de software del satélite de RHN para las versiones 3.4 y posteriores. 2. Obtenga el paquete rhn-applet-actions con up2date o a través del canal de herramientas de software Red Hat Network. Instale el paquete en todos los sistemas de cliente Red Hat Enterprise Linux 3 y posteriores para ser notificado de actualizaciones personalizadas con los sistemas de cliente Red Hat Network Alert Notification T ool. Los sistemas de cliente deben estar actualizados para los niveles de servicio Management o Provisioning. 3. Dentro de la versión del satélite del sitio web de RHN, vaya a la página Información del sistema para cada sistema cliente y haga clic en el enlace dentro del área RHN Applet para redirigir la Red Hat Network Alert Notification T ool al satélite. La próxima vez que la aplicación sea iniciada, se aplicará la nueva configuración y la conexión para actualizaciones se realizará al RHN Satellite Server. 10

14 Capítulo 3. Infraestructura del SSL Capítulo 3. Infraestructura del SSL Para los usuarios de Red Hat Network, la seguridad es un tema de suma importancia. Una de las fortalezas de Red Hat Network es la habilidad de procesar cada una de las solicitudes a través de SSL (Capa de conexión segura/secure Sockets Layer). Para mantener este nivel de seguridad, los usuarios que instalan Red Hat Network dentro de sus infraestructuras deben generar las llaves y certificados SSL personalizados. La creación e implementación manual de las llaves y certificados SSL puede llegar a ser bastante engorrosa. T anto el Servidor proxy de RHN como el Servidor satélite de RHN le permitirán construir sus propias llaves y certificados SSL durante la instalación, basándose en sus propios certificados de Autoridad Certificadora (conocidos como CA por sus siglas en inglés). Además, una herramienta para la línea de comando, la RHN SSL Maintenance Tool, ha sido creada para este fin. Estas llaves y certificados deben ser implementados en todos los sistemas dentro de su infraestructura. En muchos casos, la implementación de estas llaves y certificados SSL es automatizada. Este capítulo describe métodos eficientes para conducir todas estas tareas. Por favor tenga en cuenta que este capítulo no explica SSL en detalle. La RHN SSL Maintenance Tool fue diseñada para ocultar la complejidad que envuelve la creación y mantenimiento de esta infraestructura de llaves públicas (PKI). Para mayor información, consulte algunas de las referencias disponibles en la librería más cercana Una breve introducción al SSL SSL, por Secure Sockets Layer, es un protocolo que permite a los clientes pasar información de una forma segura. SSL utiliza un sistema de pares de llaves pública y privada para encriptar la comunicación pasada entre el cliente y el servidor. Los certificados públicos pueden ser accesibles a cualquier persona, pero las llaves privadas deben permanecer en un lugar seguro. Es la relación matemática (una firma digital) entre el certificado público y la llave privada lo que hace que este sistema funcione. A través de esta relación se establece una conexión confiable. Nota A lo largo de este documento se discutirá sobre las llaves privadas y los certificados públicos de SSL. T écnicamente, ambos pueden llamarse llaves (pública y privada). Pero por convención, cuando se habla de SSL, se refiere a la parte pública de un par de llaves de SSL (o juego de llaves) como el certificado público SSL. La infraestructura SSL de una organización está conformada generalmente por estas llaves y certificados: Llave privada y certificado público SSL de Autoridad certificadora (CA) generalmente se crea un solo par por organización. El certificado público es firmado digitalmente por su llave privada. El certificado público se distribuye a cada sistema. Llaves privadas y certificados públicos SSL del servidor web un set por servidor de aplicaciones. El certificado público es firmado digitalmente tanto por su llave privada como por su llave privada CA SSL. Generalmente nos referimos al juego de llaves del servidor web; ya que hay una petición a un certificado SSL intermediario que es generado. Los detalles de uso no son importante en esta discusión. T odos los tres son implementados en un servidor de RHN. Por ejemplo: si tiene un satélite y cinco Proxies, generará un par de llaves CA SSL y seis juegos de llaves SSL del servidor web. El certificado público CA SSL es distribuido a todos los sistemas y usado 11

15 Red Hat Network Satellite 5.4 Guía de configuración de cliente por todos los clientes para establecer una conexión a sus respectivos servidores. Cada servidor tiene su propio juego de llaves SSL que está específicamente ligado al nombre de host del servidor y generado con la llave privada SSL y la llave privada CA SSL en conjunto. Esto establece una asociación digital verificable entre el certificado público SSL del servidor web y el par de llaves CA SSL y la llave privada del servidor. El juego de llaves del servidor de web no puede ser compartido con otros servidores. Importante La parte más crítica de este sistema es el par de llaves CA SSL. Desde esa llave privada y el certificado público un administrador puede regenerar cualquier juego de llaves SSL del servidor web. Este par de llaves CA SSL debe guardarse en un lugar seguro. Se recomienda que una vez la infraestructura de servidores RHN esté configurada y en ejecución, usted archive el directorio SSL creado generado por esta herramienta y/o el instalador en un medio independiente, escriba la contraseña CA y guarde el medio y la contraseña en un lugar seguro Uso de RHN SSL Maintenance Tool Red Hat Network proporciona una herramienta de línea de comandos que facilita el manejo de su la infraestructura de seguridad: la RHN SSL Maintenance Tool comúnmente conocida por su comando rhn-ssl-tool. Esta herramienta está disponible como parte del paquete rhns-certs-tools. Este paquete puede encontrarse dentro de los canales de software para las últimas versiones del Servidor proxy de RHN y el Servidor satélite de RHN (también para el ISO del servidor satélite de RHN). La RHN SSL Maintenance Tool le permite generar su propio par de llaves CA SSL, así como el juego de llaves SSL del servidor web (algunas veces llamada par de llaves). Esta herramienta es solamente una herramienta de construcción. Genera todas las llaves y certificados SSL que se requieren. T ambién empaqueta los archivos en formato RPM para una rápida distribución e instalación de las máquinas cliente. Sin embargo, no las implementa. Esta tarea es asignada al administrador, o en muchas ocasiones, automatizada por el Servidor satélite de RHN. Nota El rhns-certs-tools, que contiene rhn-ssl-tool, puede ser instalado y ejecutado en cualquier sistema Red Hat Enterprise Linux con los mínimos requerimientos. Esto es conveniente para los administradores que deseen manejar su infraestructura SSL desde su estación de trabajo o cualquier otro sistema diferente al servidor RHN. Estos son los casos en los que se requiere la herramienta: Cuando se actualizan los certificados públicos CA - esto es raro. Cuando se instala un Servidor proxy de RHN versión 3.6 o posterior que se conecta con los servidores centrales de RHN como su servicio de nivel superior - el servicio hospedado, por razones de seguridad, no puede ser un repositorio de su certificado y llave CA SSL, los cuales son privativos de su organización. Cuando se reconfigura una infraestructura RHN para usar SSL donde no existía. Cuando se añaden Sevidores proxy de RHN de una versión anterior a la 3.6 dentro de su infraestructura RHN. Cuando se añade más de un RHN Satellite Server a una infraestructura RHN - consulte con su 12

16 Capítulo 3. Infraestructura del SSL representante Red Hat para obtener instrucciones al respecto. Estos son los casos en los que no se requiere la herramienta: Durante la instalación de un Servidor satélite de RHN - todos los parámetros SSL son configurados durante el proceso de instalación. Las llaves y certificados SSL son construidos e implementados automáticamente. Durante la instalación de un Servidor proxy RHN - versión 3.6 o superior conectado a un servidor satélite de RHN 3.6 o superior como su servidor de nivel superior - el servidor satélite de RHN contiene toda la información SSL necesaria para configurar, construir e implementar los certificados y llaves SSL del Servidor proxy de RHN. El proceso de instalación del Servidor satélite de RHN y del Servidor proxy de RHN aseguran que el certificado público SSL se implemente en el directorio /pub de cada servidor. Este certificado público es usado por los sistemas cliente para conectarse al servidor RHN. Consulte la Sección 3.3, Implementación del certificado público CA SSL a los clientes para obtener mayor información. En resumen, si la infraestructura RHN de su organización implementa la última versión del Servidor satélite de RHN como el servicio de nivel superior, usted no tendrá necesidad de usar la herramienta. De lo contrario, deberá familiarizarse con su uso Explicación de la generación de SSL Seguridad, flexibilidad y portabilidad son los beneficios primarios del uso de la RHN SSL Maintenance T ool. La seguridad se consigue mediante la creación de certificados y llaves SSL del servidor web para cada servidor de RHN, todos firmados por un único par de llaves CA SSL creado por su organización. La flexibilidad se consigue gracias a la posibilidad de ejecutar la herramienta en cualquier máquina que tenga el paquete rhns-certs-tools instalado. La portabilidad nace en la existencia de una estructura construida que puede ser almacenada por seguridad en cualquier lugar y luego instalada cuando sea necesario. Nuevamente, si su infraestructura RHN utiliza la última versión del RHN Satellite Server como servidor de nivel superior, lo único que usted tendrá que hacer es restaurar su árbol ssl-build desde un archivo al directorio /root y utilizar las herramientas de configuración provistas dentro del sitio web del Servidor satélite de RHN. Para Utilizar la RHN SSL Maintenance T ool de la forma más adecuada, complete las siguientes tareas de nivel superior siguiendo aproximadamente el orden dado. Consulte las secciones restantes para obtener mayor información: 1. Instale el paquete rhns-certs-tools en un sistema dentro de su organización; por ejemplo en un Servidor satélite de RHN o un Servidor proxy de RHN. 2. Cree un par de llaves CA SSL para su organización e instale el RPM resultante o certificado público en todos los sistemas cliente. 3. Cree un juego de llaves SSL de servidor web para cada uno de los Proxies y satélites que serán implementados e instale los RPM resultantes en los servidores de RHN; reinicie el servicio httpd después de esta acción: /sbin/service httpd restart 4. Archive el árbol de construcción SSL - conformado por el directorio de construcción primario y todos los subdirectorios y archivos - en un medio de almacenamiento, por ejemplo un disquete (los requerimientos de espacio de disco son insignificantes). 5. Verifique y luego almacene este archivo en un lugar seguro, tal como el descrito en la sección 13

17 Red Hat Network Satellite 5.4 Guía de configuración de cliente sobre copias de seguridad en Requerimientos adicionales de la Guía de instalación de Proxy o satélite. 6. Registre y asegure la contraseña CA para un uso futuro. 7. Borrar el árbol de construcción del sistema donde fue construido por razones de seguridad, pero únicamente después de que la infraestructura RHN ha sido establecida y esté configurada. 8. Cuando se necesiten llaves SSL de servidor web adicionales, restaure el árbol de construcción en el sistema ejecutando la RHN SSL Maintenance Tool y repita los pasos del 3 al Opciones de RHN SSL Maintenance Tool La RHN SSL Maintenance Tool ofrece una plétora de opciones de línea de comandos para generar su par de llaves CA SSL y administrar sus llaves y certificados SSL del servidor. La herramienta ofrece esencialmente tres opciones de listados de ayudas para la línea de comandos: rhn-ssl-tool -- help (general), rhn-ssl-tool --gen-ca --help (CA - Certificate Authority/ Autoridad Certificadora), y rhn-ssl-tool --gen-server --help (Servidor web). La página de manual para la rhn-ssl-tool también está bien detallada y disponible: m an rhn-ssl-tool. Las dos tablas siguientes dividen las opciones de acuerdo a su tarea respectiva, ya sea CA o la generación del juego de llaves de servidor web. Este conjunto de opciones debe estar precedido por el argumento --gen-ca: 14

18 Capítulo 3. Infraestructura del SSL T abla 3.1. Opciones SSL de Autoridad certificadora (CA) (rhn-ssl-tool --gen-ca --help) Opción --gen-ca -h, --help -f, --force -p=, --password=contraseña Descripción Genera un par de llaves CA (Autoridad certificadora) y RPM público. Este debe ser ejecutado con cualquiera de las opciones restantes de la tabla. Muestra la pantalla de ayuda con una lista de opciones básicas específicas para generar y administrar un CA (Autoridad certificadora). Fuerza la creación de una llave privada CA y/o de un certificado público. La contraseña CA. Se le pedirá que introduzca esta opción si no se encuentra. Guárdela de una forma segura. -d=, --dir=directorio Requerido para la mayoría de comandos - El directorio donde el certificado y el RPM serán construidos. Por defecto es./sslbuild. --ca-key=archivo --ca-cert=archivo --cert-expiration=expir_cert --set-country=código_país --set-state=estado_o_provincia --set-city=ciudad_o_localidad --set-org=organización --set-org-unit=config_unidad_org --set-com m on-nam e=nombredehost --set-em ail=correo-e --rpm-packager=empaquetador --rpm-vendor=distribuidor -v, --verbose El nombre del archivo de la llave privada CA. Por defecto es RHN-ORG-PRIVAT E- SSL-KEY. El nombre del archivo del certificado público CA. Por defecto es RHN-ORG- T RUST ED-SSL-CERT. La fecha de caducidad del certificado público CA. Por defecto es el número de días hasta un día antes del cambio de época (o ). El código de dos letras del país. Por defecto es US. El estado o provincia del CA. Por defecto es ''. La ciudad o localidad. Por defecto es ''. La compañía u organización, tal como Red Hat. Por defecto es Example Corp. Inc. La unidad corporativa, tal como RHN. Por defecto es ''. Generalmente no se establece para el CA. - El nombre común. Generalmente no se establece para el CA. - dirección de correo-e. Empaquetador del RPM generado, tal como "RHN Admin (rhn-admin@example.com)." El distribuidor del RPM generado, tal como "IS/IT Example Corp." Muestra mensajes verbosos. Esta opción es acumulativa - por cada "v" añadida se 15

19 Red Hat Network Satellite 5.4 Guía de configuración de cliente --ca-cert-rpm =CERT_RPM --key-only --cert-only --rpm-only --no-rpm conseguirá un mayor grado de verbosidad. Rara vez cambia - el nombre del RPM que contiene el certificado CA (El nombre de archivo base únicamente, no el nombre que incluye la versión: filename-versionrelease.noarch.rpm) Rara vez usado - Genera una llave privada CA únicamente. Revise --gen-ca --keyonly --help para obtener mayor información. Rara vez usado - Genera un certificado público CA únicamente. Revise --gen-ca --cert-only --help para obtener mayor información. Rara vez usado - Genera un RPM para implementación solamente. Revise --genca --rpm-only --help para obtener mayor información. Rara vez usado - Realiza todos los pasos relacionados con el CA excepto la generación del RPM. El siguiente set de opciones debe estar precedido de un argumento --gen-server: 16

20 Capítulo 3. Infraestructura del SSL T abla 3.2. Opciones del SSL de servidor web (rhn-ssl-tool --gen-server --help) Opción --gen-server -h, --help -p=, --password=contraseña Descripción Genera el juego de llaves SSL de servidor web, el RPM y el archivo tar. Esta opción debe ser usada con cualquiera de las opciones restantes de esta tabla. Muestra la pantalla de ayuda con una lista de opciones básicas especificas para la generación y administración de un par de llaves de servidor. La contraseña CA. Se le pedirá que introduzca esta opción si no se encuentra. Guárdela de una forma segura. -d=, --dir=directorio Requerido para la mayoría de comandos - El directorio donde el certificado y el RPM serán construidos. Por defecto es./sslbuild. --server-key=archivo --server-cert-req=archivo --server-cert=archivo --startdate=yymmddhhmmssz --cert-expiration=expir_cert_servidor --set-country=código_país --set-state=estado_o_provincia --set-city=ciudad_o_localidad --set-org=organización --set-org-unit=config_unidad_org --set-hostnam e=nombredehost El nombre del archivo de la llave privada SSL de servidor web. Por defecto es server.key. El nombre de archivo solicitado del certificado SSL de servidor web. Por defecto es server.csr. El nombre de archivo del certificado SSL del servidor web. Por defecto es server.crt. La fecha de inicio para validar el certificado de servidor en el formato ejemplificado: año, mes, día, hora, minuto, segundo (dos caracteres por valor). Z significa Zulú y es requerido. Por defecto es una semana antes de la generación. La fecha de caducidad del certificado de servidor. Por defecto es el número de días hasta un día antes del cambio de época (o ). El código de dos letras del país. Por defecto es US. El estado o provincia. Por defecto es "North Carolina". La ciudad o localidad. Por defecto es Raleigh. La compañía u organización, tal como Red Hat. Por defecto es Example Corp. Inc. La unidad corporativa, tal como RHN. Por defecto es "unit." El nombre de host del servidor de RHN que recibirá la llave. Por defecto se establece dinámicamente con el nombre de host de la 17